ADCS介绍

Active Directory Certificate Services (ADCS)可以让组织建立和管理自身的 Public Key Infrastructure (PKI) ，为安全通信、用户身份验证和数据保护奠定基础。它涵盖 Certificate Authority (CA) 、 digital certificates 、 PKI architecture 等多个概念

下面是一些基本概念：

Public Key Infrastructure (PKI) 是一种利用数字证书和公钥加密技术，在不安全的网络（如互联网）上提供安全通信的系统。PKI 能够实现电子文档、电子邮件及其他在线通信形式的数字签名、加密和身份验证。

数字证书是一种将公钥与个人、组织、设备或服务绑定的电子文档。它由受信任的 Certificate Authority (CA) 签发并签名，用于验证证书持有者的身份及公钥的完整性。证书包含公钥、主体名称、签发者名称、有效期及其他属性。

PKI 的优势：

ADCS 相较于 PKI 的优势：

Active Directory Certificate Services (AD CS) 是一项 Windows 服务器角色，使组织能够建立和管理自己的公钥基础设施（PKI）。

AD CS 与 Active Directory 域服务（AD DS）集成，后者是 Windows 网络中用户、计算机、组和其他对象的集中式数据库。

AD CS 可用于保护各种网络服务，例如安全套接字层/传输层安全协议（SSL/TLS）、虚拟专用网络（VPN）、远程桌面服务（RDS）和无线局域网（WLAN）。它还可以为智能卡和其他物理令牌颁发证书，这些证书可用于对用户进行网络资源身份验证。随后，存储在智能卡或令牌上的私钥将用于对用户进行网络身份验证。

Active Directory 证书服务包括：

ADCS的核心是 Certificate Authority (CA) 概念，这是一个签发和管理数字证书的守护者。这些证书充当数字护照的角色，为网络内用户、设备或服务的真实性提供担保。

以下是一些关键的术语：

这些预定义的配置决定了 AD CS 颁发的证书属性和用途。它们包含证书用途、密钥大小、有效期和颁发策略等设置。AD CS 提供标准模板（例如 Web 服务器、代码签名），同时赋予管理员创建满足特定业务需求的自定义模板的能力。

一个集成了硬件、软件、策略和程序的综合系统，用于创建、管理、分发和撤销数字证书。它包含认证机构（CAs）和注册机构，通过公钥密码学验证参与电子交易的实体。

此组件向用户、计算机和服务颁发证书，同时负责监督证书的有效期管理。

实体向 CA 请求证书的过程，在颁发证书之前需先验证请求者的身份。

负责证书的颁发、管理以及对注册和撤销请求的授权。

一种包含身份详细信息（如用户或组织名称）及相应公钥的电子文档。这些证书用于身份验证，证明个人或设备的身份。

ADCS 支持在证书遭到破坏或不再有效时将其撤销。撤销可以通过证书撤销列表 (CRL) 或在线证书状态协议 (OCSP) 进行管理。

ADCS 提供了管理私钥的机制，确保其安全性和正确使用。

备份操作员负责备份和还原文件及目录。备份操作员通过 Active Directory 用户和计算机或计算机管理进行指派。他们可以备份和还原系统状态（包括 CA 信息）、启动和停止 AD CS 服务、拥有系统备份用户权限，并读取 CA 数据库中的记录和配置信息。

独立 CA（Standalone CAs）脱离 Active Directory 独立运行，允许手动或通过 Web 进行证书请求。相比之下，企业 CA（Enterprise CAs）依赖于 Active Directory，为组织内的用户、设备和服务器颁发证书，并使用组策略或证书注册 Web 服务实现流程自动化。

证书签名请求是用户或设备提交给 ADCS CA 以获取证书的请求。CSR 包含用户或设备的公钥和其他标识信息，例如证书的主体名称和预期用途。当 CSR 提交给 CA 时，CA 会验证请求者的身份并执行各项检查以确保 CSR 的完整性和有效性。如果 CSR 获得批准，CA 将颁发一份数字证书，将请求者的公钥与其身份和预期用途绑定。

由 CA 颁发的经过数字签名的清单，列出了已撤销的证书。CRL 包含被 CA 作废的证书详细信息，确保实体可以验证特定证书的撤销状态。

描述证书授权用途的证书扩展。EKU 允许管理员将证书用途限制在特定的应用程序或场景中，例如代码签名、电子邮件加密或智能卡登录。AD CS 提供了预构建的 EKU（如服务器身份验证、客户端身份验证和代码签名），同时也赋予管理员创建符合特定业务需求的自定义 EKU 的能力。

ADCS 配置不当的探索始于 SpecterOps 的开创性白皮书《Certified Pre-Owned - Abusing Active Directory Certificate Services》，该白皮书深入探讨了从 ESC1 到 ESC8 的配置不当问题。在此基础上，其他研究人员进一步扩展了漏洞探索的范围。certipy 的开发者 Oliver Lyak 发现了两种配置不当，分别称为 ESC9 和 ESC10 。随后，Sylvain Heiniger 和@compasssecurity 团队识别出另一种标记为 ESC11 的配置不当。

证书是一种 X.509-formatted digitally signed document ，用于加密、消息签名和身份验证等多种目的。它包含多个关键字段：

Certificate Authorities (CAs) 是负责颁发证书的关键实体

根 CA 证书是由 CA 自身通过使用其私钥对新证书进行签名而创建的，这意味着根 CA 证书是自签名的。AD CS 负责将证书的主体和颁发者字段设置为该 CA 的名称，并将基本约束设置为Subject Type=CA。此外，生效日期/截止日期字段默认设置为五年。完成这些操作后，主机可以将根 CA 证书添加到其信任存储中，从而与该 CA 建立信任关系。

ADCS 将受信任的根 CA 证书存储在容器 CN=Public Key Services,CN=Services,CN=Configuration,DC=,DC= 下的四个位置：

AD CS 企业 CAs 使用 certificate templates 来建立证书设置，包括注册策略、有效期、预期用途、主题规范和请求者资格。这些模板通过证书模板功能进行管理，并作为对象类为 pKICertificateTemplate 的活动目录对象存储。这些证书模板的设置通过属性定义，而其注册权限和模板编辑则通过其安全描述符进行控制。

活动目录证书模板对象中的 pKIExtendedKeyUsage 属性包含一组启用的 OIDs (Object Identifier) ，这些属性影响证书的允许用途。这些 EKU OIDs 涵盖了诸如加密文件系统、代码签名、智能卡登录和客户端身份验证等功能，这些功能在 PKI Solutions 对 EKU OIDs 的详细分类中有所说明。

以下EKUs可以向AD进行身份验证：

更多内容，看这里

要从 ADCS 获取证书，客户端需要完成注册流程。

除了证书模板固有的限制和企业 CA 的访问控制外，还有两种常用设置来管理证书注册。这些被称为颁发要求，包括经理批准以及授权签名数量和应用策略的设置。
运行certsrv.msc，右键单击证书模板并选择管理，右键单击任意模板并选择属性，选择安全选项卡

CA 证书管理器批准限制会触发对 AD 对象中 msPKI-EnrollmentFlag 属性的 CT_FLAG_PEND_ALL_REQUESTS (0x2) 位进行配置。其结果是，所有基于该模板的证书请求都会被置于“挂起”状态，并显示在 certsrv.msc 的 待处理请求 栏目中。在证书正式颁发之前，需要证书管理员手动执行批准或拒绝操作。

第二组限制包括授权签名数量和应用策略设置。前者规定了 CA 接受证书签名请求（CSR）所必需的签名数量；而后者则定义了签署该 CSR 的证书必须具备的特定 EKU OID。